Profilserver -> Win2003

[dapdap]

Hallo,

leider finde ich keine ausreichende anleitung im internet...würde da gerne eine umfangreiche doku zur hand haben...es geht nicht um einen eigenen/zusätzlichen profilserver sondern lediglich darum profile servergespeichert zu verwalten...

[jorge42]

du willst dich an 2 rechnern mit dem selben Profil anmelden?! Die Profileeinstellungen des Users findest du in "Lokale Benutzer und Gruppen" unter "Profil / Profilpfad" in den Eigenschaften des Users. Dort findest Du auch in der Direkthilfe alle notwendigen Einstellungen. Aber ich ich bin noch nie auf die Idee gekommen servergespeicherte Profile zu verwenden, OHNE auch eine Domäne zu haben. Das Problem, das ich auf dich zukommen sehe ist folgendes:

Windows vergibt jedem User einen eindeutige Kennung (SID) und die ist unabhängig vom Namen. Also haben 2 Benutzer mit gleichem Namen die aber auf 2 verschiedenen Rechnern eingerichtet wurden auch (IMMER) 2 verschiedene SIDs. Die SID ist aber an verschiedenen Stellen im Profil hinterlegt -> Stress.

In der Domäne meldet sich man am Rechner nicht mit dem lokalen Benutzer an sondern mit dem Domänen Benutzer und der hat dann an jedem Rechner in der Domäne die GLEICHE SID und damit klappts.
Kannst ja mal probieren ob es klappt, aber ich denke eher nicht. :smile:

Aber da das Thema sehr umfangreich ist hier was zu lesen. Deutsch (http://search.microsoft.com/search/results.aspx?st=b&na=88&View=de-de&qu=roaming+profiles) und Englisch (http://search.microsoft.com/search/results.aspx?st=b&na=88&View=en-us&qu=roaming%20profiles)

[littlejam]

Nachtrag zu den SIDs.
Das Problem dabei sollten weniger die Berechtigungen sein, die kommen sich bei gleichem Benutzernamen und Passwort nicht in die Quere, eher sollte der Speicherort das Problem sein.
Wenn im Profilordner schon ein gleichnamiges Profil existiert, wird ein neues angelegt, welches dann "arbeitsgruppe.benutzername" heißt. Ich habe noch keinen Weg gefunden, welcher diesen Mechanismus umgeht. Eventuell ein Komplettimage von Rechner1 auf Rechner2 könnte helfen, dann sind die SIDs gleich ;)

Gruß

[blapblap]

du willst dich an 2 rechnern mit dem selben Profil anmelden?! Die Profileeinstellungen des Users findest du in "Lokale Benutzer und Gruppen" unter "Profil / Profilpfad" in den Eigenschaften des Users. Dort findest Du auch in der Direkthilfe alle notwendigen Einstellungen. Aber ich ich bin noch nie auf die Idee gekommen servergespeicherte Profile zu verwenden, OHNE auch eine Domäne zu haben. Das Problem, das ich auf dich zukommen sehe ist folgendes:

domäne ist vorhanden O.o hab ja nichts gegenteiliges behauptet


habs im übrigen hinbekommen...man muss für den user das profil im ad als netzwerkpfad angeben und für den pfad muss ne freigabe aktiv sein (mit schreibrechten)....



zu deinem sid problem...lösch einfach ausm profil auf dem server die sid`s (Anwendungsdaten\Identities) und du hast das problem umgangen O.o
wär ne möglichkeit aber ohne domäne zuviel schnickschnack und zu umständlich...

[jorge42]

domäne ist vorhanden O.o hab ja nichts gegenteiliges behauptet

habs im übrigen hinbekommen...man muss für den user das profil im ad als netzwerkpfad angeben und für den pfad muss ne freigabe aktiv sein (mit schreibrechten)....
zu deinem sid problem...lösch einfach ausm profil auf dem server die sid`s (Anwendungsdaten\Identities) und du hast das problem umgangen O.o
wär ne möglichkeit aber ohne domäne zuviel schnickschnack und zu umständlich...

Das Problem dabei sollten weniger die Berechtigungen sein, die kommen sich bei gleichem Benutzernamen und Passwort nicht in die Quere

ist blapblap=dapdap?

Wenn ja -> Das Vorhandensein einer Domäne war mit keinesfalls klar, dann war aber die Frage auch nicht wirklich klar formuliert! Das Benutzen von Servergespeicherten Profilen innerhalb einer Domäne gehört zum Standard einer Domänenverwaltung. Und die Antwort, Freigabe auf Server mit Eintrag ins Profil des Users wäre dementsprechend einfach. Aber ich denke auch das Servergespeicherte Profile OHNE Domäne kein Feature ist, das von MS supported wird. :smile:

Das Problem bei mit den SID ist, dass Windows alle Berechtigungen an SIDs festmacht und nicht am Benutzernamen. Wenn also irgendwo eine Berechtigung für User A auf Rechner A eingestellt wird, hat Benutzer A auf Rechner B mitnichten Berechtigung drauf beim lokalen Anmelden. Der Benutzer "Administrator" stellt die Ausnahme dar, denn der hat auf jedem Rechner die selbe SID. Deshalb kann der lokale Admin, sofern er das selbe Passwort hat, auch auf alle anderen Rechner zugreifen.

Wird ein Benutzer gelöscht und wieder mit selben Passwort neu angelegt, hat sich die SID geändert und die NTFS Berechtigungen müssen neu angepasst werden, weil im NTFS die SID gespeichert wird und nicht der Benutzername.

Die SID eines Users wird auch nicht im Profil des User gespeichert /genauso wenig wie das Passwort) das löschen des Profiles oder auch von Identities ändert hier nichts. Die SID der Benutzer werden in der zentralen SAM des Rechners gespeichert und sind vom Speicherort des Profiles unabhängig. Sie wird auch nur EINMAL bein Anlegen des Users generiert und nicht beim Anlegen des Profiles beim ersten anmelden.

Windows ist, wenn man alles richtig konfiguriert auch nicht SOOO einfach auszutricksen. Wäre das nicht so, dann hätte Windows ein wesentliches Sichersheitsdefizit.

[dapdap]

Wenn ja -> Das Vorhandensein einer Domäne war mit keinesfalls klar, dann war aber die Frage auch nicht wirklich klar formuliert! Das Benutzen von Servergespeicherten Profilen innerhalb einer Domäne gehört zum Standard einer Domänenverwaltung.
gut das mit der domäne hab ich nicht erwähnt...wäre aber nur eine logische konsequenz...auch egal

die servergespeicherten profile kann man sehen wie man will...ich halte se für blödsinn...bzw nur in den wenigstens fällen für sinnvoll

Wird ein Benutzer gelöscht und wieder mit selben Passwort neu angelegt, hat sich die SID geändert und die NTFS Berechtigungen müssen neu angepasst werden, weil im NTFS die SID gespeichert wird und nicht der Benutzername.bestreitet ja niemand
´
Die SID eines Users wird auch nicht im Profil des User gespeichert /genauso wenig wie das Passwort) das löschen des Profiles oder auch von Identities ändert hier nichts. Die SID der Benutzer werden in der zentralen SAM des Rechners gespeichert und sind vom Speicherort des Profiles unabhängig. Sie wird auch nur EINMAL bein Anlegen des Users generiert und nicht beim Anlegen des Profiles beim ersten anmelden.natürlich würde es so funktionieren O.o

sonst wäre es ja auch nicht möglich anhand eines anderen profils den default user zu ersetzen?!



und ja blapblap ist dapdap

[jorge42]

sonst wäre es ja auch nicht möglich anhand eines anderen profils den default user zu ersetzen?!


das geht nur weil im Profil des Users die SID eben nicht gespeichert wird, sondern in der zentralen SAM. Dadurch kann man eine ntuser.dat im Default User ablegen die dann als Quelle für neu angemeldete User herangenommen wird. Die SID ist davon völlig unbehelligt.

die servergespeicherten profile kann man sehen wie man will...ich halte se für blödsinn...bzw nur in den wenigstens fällen für sinnvoll

Es gibt einen ganz konkreten Fall, wo servergespeicherte Profile unbedingt sinn machen, und zwar im Einsatz einer Terminal Server Farm. Alle Terminal Server sind identisch, per Load Balancing wird die Last auf meherere Server verteilt. Dem User ist es völlig egal auf welchem Server er sich anmeldet, das geht nur mit Profilen, die an zentraler Stelle gespeichert sind. Mit lokalen Profilen, hätte der User auf jedem Server unterschiedliche Einstellungen, bzw. seine persönlichen Einstellungen wären auf den Servern nicht syncronisiert.

Aber man braucht gar keine TS dafür. Wenn User keine festen Arbeitsplätze haben (z.B. stehen für 20 User 10 PCs zur verfügung, man nimmt den nächsten freien). Es ist sinnvoll diese 10 PCs identisch zu installieren und zu konfigurieren und dann servergespeicherte Profile zu verwenden.

Für zu Hause? Nee da macht es überhaupt keinen Sinn, sehe ich als Spielkram an. Zu Hause braucht man auch keine Domäne, unter NT einen Wins-Server, für eine 2000/2003-AD-Domäne sogar einen DNS Server, keinen DHCP Server. Aber es soll auch Firmen geben, die hauptsächlich Windows verwenden :smile: